2. Este ataque trata de explorar los puertos de nuestro servidor web con la
intención de encontrar algún agujero de seguridad en dicha exploración.
Se trata de un ataque pasivo ya que simplemente se está obteniendo
información, no se está modificando nada en el servidor.
Son ataques dirigidos a una máquina o conjunto de maquinas con el
objetivo de terminar parcial o totalmente con los servicios que ofrece
dicho recurso. El ataque DoS se basa en intentar consumir todos los
recursos de un servidor web sin dejar espacio para peticiones legítimas.
Este ataque trata de saturar la red con un gran número de paquete ICMP.
Normalmente se trata de un ataque de denegación de paquete distribuida
(DDoS) donde una máquina envía un paquete ping al servidor web para
poder detectar información sobre sistemas o servicios. Una inundación
por ping puede ocasionar que el sistema se bloquee o sufra retardos.

3. Este ataque se trata de una versión pingflood. Este tipo de ataque
utiliza también la inundación por ping pero se envía a toda la red. Se
basa en el uso de servidores de difusión para poder analizar la red
entera. Este ataque comprende los siguientes pasos:
---El atacante envía una solicitud echo request mediante un ping a uno o
varios servidores de difusión falsificando direcciones IP origen y
proporciona la dirección IP de un equipo destino
---El servidor de difusión lo envían al resto de la red
---Las maquinas de la red envían la respuesta al ping al servidor de
difusión
---El servidor de difusión envía las respuestas al equipo destino.
Este ataque se basa en manipular el código de programación SQL para
ejecutar alguna secuencia en el servidor u obtener información del
mismo. La gravedad del ataque puede fluctuar entre obtener información
de un simple usuario hasta poder provocar una denegación de servicio.

4. Los ataques de suplantación de la identidad presentan varias
posibilidades, siendo una de las más conocidas la denominada ‚IP
Spoofing‛ (‚enmascaramiento de la dirección IP‛), mediante la cual un
atacante consigue modificar la cabecera de los paquetes enviados a un
determinado sistema informático para simular que proceden de un equipo
distinto al que verdaderamente los ha originado. Así, por ejemplo, el
atacante trataría de seleccionar una dirección IP correspondiente a la
de un equipo legítimamente autorizado para acceder al sistema que
pretende ser engañado.
Los ataques de falsificación de DNS pretenden provocar un
direccionamiento erróneo en los equipos afectados, debido a una
traducción errónea de los nombres de dominio a direcciones
IP, facilitando de este modo la redirección de los usuarios de los
sistemas afectados hacia páginas Web falsas o bien la interceptación de
sus mensajes de correo electrónico.
Para ello, en este tipo de ataque los intrusos consiguen que un servidor
DNS legítimo acepte y utilice información incorrecta obtenida de un
ordenador que no posee autoridad para ofrecerla.
De este modo, se persigue ‚inyectar‛ información falsa en el base de
datos del servidor de nombres, procedimiento conocido como
‚envenenamiento de la caché del servidor DNS‛, ocasionando con ello
serios problemas de seguridad.

5. Los ataques de ‚Cross-Site Scripting‛ consisten básicamente en la
ejecución de código ‚Script‛ (como Visual Basic Script o Java Script)
arbitrario en un navegador, en el contexto de seguridad de la conexión a
un determinado servidor Web.
Son ataques dirigidos, por lo tanto, contra los usuarios y no contra el
servidor Web. Mediante ‚Cross-Site Scripting‛, un atacante pueda
realizar operaciones o acceder a información en un servidor Web en nombre
del usuario afectado, suplantando su identidad.
Este tipo de ataque trata de enviar solicitudes a una página web con datos
introducidos normalmente para generar un contexto inesperado.
Este ataque se basa en manipular una dirección URL para poder así tener acceso a
páginas a las cuales no se tendría acceso de manera habitual.

6. Los hackers son intrusos que se dedican a estas tareas como pasatiempo y como reto
técnico: entran en los sistemas informáticos para demostrar y poner a prueba su
inteligencia y conocimientos de los entresijos de Internet, pero no pretenden provocar
daños en estos sistemas.
Sin embargo, hay que tener en cuenta que pueden tener acceso a información
confidencial, por lo que su actividad está siendo considerada como un delito en
bastantes países de nuestro entorno.
El perfil típico de un hacker es el de una persona joven, con amplios conocimientos de
informática y de Internet (son auténticos expertos en varios lenguajes de programación,
arquitectura de ordenadores, servicios y protocolos de comunicaciones, sistemas
operativos, etcétera), que invierte un importante número de horasa la semana a su
afición.
En la actualidad muchos ‚hackers‛ defienden sus actuaciones alegando que no persiguen
provocar daños en los sistemas y redes informáticas, ya que sólo pretenden mejorar y
poner a prueba sus conocimientos. Sin embargo, el acceso no autorizado a un sistema
informático se considera por sí mismo un delito en muchos países, puesto que aunque no
se produzca ningún daño, se podría revelar información confidencial.
Por otra parte, la actividad de un ‚hacker‛ podría provocar otros daños en el sistema:
dejar ‚puertas traseras‛ que podrían ser aprovechadas por otros usuarios maliciosos,
ralentizar su normal funcionamiento, etcétera. Además, la organización debe dedicar
tiempo y recursos para detectar y recuperar los sistemas que han sido comprometidos por
un ‚hacker‛.

7. Los crackers son individuos con interés en atacar un sistema informático
para beneficios de forma ilegal o, simplemente, para provocar algún daño
a la organización propietaria del sistema, motivados por intereses
económicos, políticos, religiosos, etcétera.
A principios de los años setenta comienzan a producirse los primeros
casos de delitos informáticos, provocados por empleados que conseguían
acceder a los ordenadores de sus empresas para modificar sus datos:
registros de ventas, nóminas, etc.
Los sniffers son individuos que se dedican a rastrear y tratar de
recomponer y descifrar los mensajes que circulan por redes de ordenadores
como Internet.
Los spammers son los responsables del envío masivo de miles de mensajes de
correo electrónico no solicitados a través de redes como Internet,
provocando el colapso de los servidores y la sobrecarga de los buzones de
correo de los usuarios.
Además, muchos de estos mensajes de correo no solicitados pueden contener
código dañino (virus informáticos) o forman parte de intentos de estafa
realizados a través de Internet (los famosos casos de ‚phishing‛).

8. Los ‚lamers‛, también conocidos por ‚script kiddies‛ o ‚click kiddies‛,
son aquellas personas que han obtenido determinados programas o
herramientas para realizar ataques informáticos (descargándolos
generalmente desde algún servidor de Internet) y que los utilizan sin
tener conocimientos técnicos de cómo funcionan.
A pesar de sus limitados conocimientos, son los responsables de la
mayoría de los ataques que se producen en la actualidad, debido a la
disponibilidad de abundante documentación técnica y de herramientas
informáticas que se
pueden descargar fácilmente de Internet, y que pueden ser utilizadas por
personas sin conocimientos técnicos para lanzar distintos tipos de
ataques contra redes y sistemas informáticos.
Los phreakers son intrusos especializados en sabotear las redes
telefónicas para poder realizar llamadas gratuitas. Los phreakers
desarrollaron las famosas ‚cajas azules‛, que podían emitir distintos
tonos en las frecuencias utilizadas por las operadoras para la
señalización interna de sus redes, cuando éstas todavía eran analógicas.

9. La inyección SQL consiste en la modificación del comportamiento de
nuestras consultas mediante la introducción de parámetros no deseados en
los campos a los que tiene acceso el usuario. Este tipo de errores puede
permitir a usuarios malintencionados acceder a datos a los que de otro
modo no tendrían acceso y, en el peor de los casos, modificar el
comportamiento de nuestras aplicaciones.
Vamos a ver con un ejemplo que significa eso de “Inyección de código”:
Supongamos que tenemos una aplicación Web (realizada en ASP por sencillez)
en la que el acceso a ciertas secciones está restringido. Para restringir
ese acceso creamos una tabla de usuarios y contraseñas y sólo los usuarios
que se validen contra esa tabla podrán acceder a esos contenidos.
Una manera de que los usuarios se validen será colocar un par de cuadros
de texto en nuestra página Web (por ejemplo txtUsuario y txtPassword)
donde puedan introducir su nombre y su contraseña y enviar ese par
usuario/contraseña
a la base de datos para comprobar si es válido.
Primero creamos la tabla que vamos a usar y la rellenamos con datos:

10. use web
-- Nuestra base de datos se llama web
go
-- Creamos una tabla para almacenar los pares usuario/contraseña
create table usuarios (Usuario varchar (50) not null primary key,
Password varchar (50))
go
-- Introducimos un par de datos de prueba
insert into usuarios (Usuario, Password) values ('Admin', '1234')
insert into usuarios (Usuario, Password) values ('Usuario', 'abcd')
Esta primera página es sencilla. Simplemente los dos cuadros de texto
mencionados que enviarán los datos a la página de login.
Login.asp
<%
Dim Usuario, Password, RS, SSQL
Usuario = Request.Form("txtUsuario")
Password = Request.Form("txtPassword")
SSQL = "SELECT count(*) FROM Usuarios WHERE Usuario = '" & Usuario &
"' AND password='" & Password & "'"
Set RS = Server.CreateObject("ADODB.Recordset")
RS.Open SSQL, "Cadena de conexion"
If (RS.EOF) Then
Response.Write "Acceso denegado."
Else
Response.Write "Te has identificado como " & RS("Usuario")
End If
Set RS = Nothing
%>

11. Y en esta segunda página creamos dinámicamente una sentencia SQL que
enviamos a la base de datos para la validación.
Si el usuario escribe Admin y 1234 la sentencia creada será:
“SELECT Count(*) FROM Usuarios WHERE Usuario=’Admin’ AND Password=’1234’”
Y como esta sentencia nos devuelve un registro, dejaremos que el usuario
entre en la Web. Si el usuario escribe por ejemplo ‘Admin’ y de contraseña
cualquier otra cosa, la sentencia no nos devolverá registros y no
permitiremos entrar a esa persona.
Pero ¿qué ocurre si el usuario escribe ‘ or ’1′=’1 como usuario y lo mismo
de contraseña? En este caso la variable Consulta contendrá la cadena:
"SELECT Count(*) FROM Usuarios WHERE Usuario = '' or '1'='1' AND password = '' or '1'='1'"
Y obviamente esta sentencia nos devuelve registros con lo que el usuario
entrará en nuestra Web sin tener permiso.
Pero esto no es lo peor. Lo peor será que el usuario utilice estos trucos
de inyección de SQL para ejecutar código arbitrario en nuestro servidor.
Sentencias DDL, cambiar permisos, utilizar procedimientos almacenados y un
largo etcétera. Qué ocurriría si alguien escribiese de contraseña cosas
como:
' exec master..xp_cmdshell 'net user test /ADD' –

12. Y ahora lo más importante, ¿qué podemos hacer para evitar estos errores?
Pues hay varios sistemas para evitarlo. Por ejemplo podemos filtrar las entradas
de los usuarios reemplazando la aparición de ‘ por ‘’ (dos comillas simples) e
incluso evitando que los usuarios puedan pasar caracteres como / ‚ ‘ o cualquier
otro que se nos ocurra que puede causar problemas. Estos filtros pueden ser tan
sencillos como utilizar la sentencia replace de Visual Basic:
SSQL= "SELECT count(*) FROM Usuarios WHERE Usuario = '" & Replace
txtUsuario.Text, "'", "''") & "' AND password='" & Replace
(txtPassword.Text, "'", "''") & "'"
Otro factor importante en cuanto a la seguridad es limitar al máximo los permisos
del usuario que ejecuta estas sentencias para evitar posibles problemas. Por
ejemplo utilizando un usuario distinto para las sentencias SELECT, DELETE, UPDATE y
asegurándonos que cada ejecución de una sentencia ejecute una sentencia del tipo
permitido.
Por supuesto utilizar el usuario ‘sa’ o uno que pertenezca al rol ‘db_owner’ para
ejecutar las sentencias de uso habitual de la base de datos debería quedar
descartado.
Una solución definitiva sería trabajar con procedimientos almacenados.
El modo en el que se pasan los parámetros a los procedimientos almacenados
evita que la inyección SQL pueda ser usada. Por ejemplo utilizando el siguiente
procedimiento almacenado:

13. CREATE Procedure Validar @usuario varchar(50), @password varchar(50) AS
If (SELECT Count(*) FROM Usuarios WHERE Usuario=@Usuario and Password=@password)>0
Return 1
Return 0
También deberíamos validar los datos que introduce el usuario teniendo en
cuenta por ejemplo la longitud de los campos y el tipo de datos aceptados.
Esto lo podemos hacer en el cliente con los RegularExpressionValidator o
con los CustomValidators del VB.NET. De todos modos si la seguridad es
importante todas estas validaciones hay que repetirlas en el servidor.
Por ultimo, y ya que estamos pensando en entornos Web, podemos programar
en ASP.NET y utilizar siempre que sea posible las clases
System.Web.Security.FormsAuthentication para que los usuarios entren en
nuestras aplicaciones Web.

14. SNIFFER
Técnicas de detección local
Aunque no se trata de una tarea trivial, ésta es, con mucho, la situación en
que resulta más sencillo localizar un sniffer. Normalmente basta con revisar
la lista de programas en ejecución para detectar alguna anomalía
(CTRL+ALT+SUPR o ps aux|more). Otro buen sitio donde mirar es en la lista de
los programas que se inician automáticamente al encender el PC archivos
/etc/rc.d/rcX.d/* o.bashrc, etc. en un sistema Unix y autoexec.bat o ciertas
claves del Registry en una máquina Windows) o las tareas programadas
(cron, at).
En una máquina con alguno de los sistemas operativos de la familia Unix se
dispone de una utilidad que resulta especialmente valiosa en la lucha contra
los sniffers. Se trata de ifconfig, orden que informa del estado de todas
las interfaces de red del sistema e indica si alguna de ellas se encuentra
en modo promiscuo. Esta metodología de detección local de sniffers depende
del buen funcionamiento de la orden ifconfig.
Es importante destacar que los ejemplos anteriores son sólo triviales y no
pretenden ser una enumeración exhaustiva. Hay decenas de
posibilidades, algunas muy ingeniosas y nada elementales. Cualquier novedad
o anomalía debe ser investigada en profundidad porque podría revelar no sólo
un sniffer en funcionamiento sino también otros programas que supongan una
grave amenaza (virus, troyanos, gusanos, etc.).

15. Técnicas de detección remota desde el mismo segmento de red
Es en este entorno donde más frecuentemente el administrador de seguridad tiene que
realizar su investigación. Existe un cierto número de técnicas heurísticas que son de
utilidad y que se presentan a continuación, pero hay que tener claro que estas
técnicas tienen bastantes limitaciones y que no resulta en absoluto improbable que
exista un sniffer en la red y que no sea detectado (falso negativo) o que máquinas o
usuarios completamente inocentes sean detectados como sniffers (falsos positivos).
Por su ámbito de aplicación, estas técnicas se pueden dividir en dos grupos: las
dependientes del sistema operativo y las que no lo son.
Dependientes del sistema operativo.
Como su propio nombre indica, estas técnicas usan algún fallo o característica propia
de determinados sistemas operativos (o parte de ellos, como el subsistema TCP/IP)
para reconocer a una tarjeta de red en modo promiscuo. La ventaja que tienen es su
excelente rendimiento cuando se exploran máquinas que tienen justamente la versión
del sistema operativo del que la técnica obtiene partido. La desventaja fundamental
es el gran número de falsos negativos que ocasiona debido a que en muchos casos las
implementaciones de la pila TCP/IP varían entre versiones del mismo sistema operativo
con la acción a nivel físico, es volver a inspeccionar la MAC (MAC address) de
destino, aunque también se puede hacer a nivel de IP.
No dependientes del sistema operativo.
En general son menos fiables y menos concluyentes. Suelen basarse en suposiciones
sobre el comportamiento de determinados sniffers, que pueden no darse en casos
concretos, convirtiendo alguna de estas técnicas en completamente inútiles. Otras son
más generales, pero poco resolutivas, porque no clasifican, simplemente dan indicios
que en muchos casos no son suficientes. No suelen proporcionar muchos falsos
positivos, aunque pueden ser burladas y utilizadas para inculpar a terceras personas.
Tampoco falsos negativos, aunque la última generación de sniffers ya incorpora
técnicas de evasión bastante sofisticadas que evita su detección.

16. Herramientas de detección remota desde el mismo segmento de red
La mejor herramienta de detección de sniffers en la actualidad es
AntiSniff, de L0pht. Se trata de un programa comercial con una versión de
evaluación de 15 días que implementa todos los tests citados
anteriormente, junto a algunas variaciones muy interesantes. Sin
embargo, al poco de anunciarse su aparición se desarrolló un sniffer
gratuito y con código fuente disponible llamado Anti-AntiSniff que no es
detectado por ninguno de los test que AntiSniff realiza. AntiSniff está
disponible para Windows NT/2000 y hay una versión de prueba gratuita y con
código fuente disponible en desarrollo para diferentes versiones de Unix
que, eso sí, está muy por detrás de la versión de Windows NT/2000 en
cuanto a interfaz gráfica.
Le sigue, en cuanto a utilidad y no precisamente de cerca, el proyecto
Sentinel, que tiene la ventaja de ser un proyecto público y abierto que
permite acceder al código fuente del programa. En la actualidad es sólo
capaz de realizar unos pocos tests, muchos menos que AntiSniff, pero tiene
un interesante futuro por delante que hace recomendable su seguimiento.

17. Untangle ofrece un poderoso conjunto de aplicaciones de administración
de Internet para pequeñas y medianas empresas y las instituciones de
educación.
Untangle es un servidor (Debian) de seguridad multi-función. Simplifica
y consolida la red y con muchos de los productos de seguridad que
necesitan las empresas como puerta de acceso a Internet. Untangle viene
por defecto con estas aplicaciones libres, de código abierto.
Incluye
* Web Filter – Impide el acceso a sitios Web no deseados
* Virus Blocker – Evita que los virus lleguen a los equipos de la red
* Spam Blocker – Bloquea el correo basura
* Ad Blocker – Bloques de anuncios en línea que la capacidad de la red
de residuos
* Attack Blocker – Detiene el ataque de negación de servicio (DOS)
* Phish Blocker - Protege a las personas del robo de identidad
"phishing"
* Spyware Blocker - Protege a las personas de los sitios web que
instalan malware
* Firewall - Protección de la red en Internet
* QoS – Permite la priorización del tráfico de Internet
* Intrusion Prevention – Protege la red de los hackers
* Protocol Control - Control de protocolos de juegos en línea, IM y P2P
* OpenVPN – Permite el acceso remoto seguro a la red interna
* Reports - Muestra quién está haciendo qué en línea

18. pfSense es una distribución personalizada de FreeBSD adaptado para su
uso como Firewall y Router. Se caracteriza por ser de código abierto,
puede ser instalado en una gran variedad de ordenadores, y además cuenta
con una interfaz web sencilla para su configuración. El proyecto es
sostenido comercialmente por BSD Perimeter LLC.
Instalación y Uso
PfSense puede instalarse en cualquier ordenador o servidor que cuente
con un mínimo de dos tarjetas de red, el proceso de instalación es
similar a FreeBSD. Una vez copiados los archivos del sistema al disco
duro, se procede a configurar las direcciones IP de las tarjetas de red.
Una vez concluido lo anterior, se puede acceder al sistema desde un
explorador web. El portal de administración está basado en PHP y
teóricamente todas las configuraciones y administración se pueden
realizar desde allí, por lo tanto no es indispensable contar con
conocimientos avanzados sobre la línea de comandos UNIX para su manejo.

19. Caracteristicas
La siguiente lista muestra algunas funcionalidades que se incluyen por
defecto en el sistema.
Firewall
State Table
Network Address Translation (NAT)
Balance de carga
VPN que puede ser desarrollado en IPsec, OpenVPN y en PPTP
Servidor PPPoE
Servidor DNS
Portal Cautivo
Servidor DHCP
PfSense cuenta con un gestor de paquetes para ampliar sus
funcionalidades, al elegir el paquete deseado el sistema
automáticamente lo descarga e instala. Existen alrededor de setenta
módulos disponibles, entre los que se encuentran el proxy Squid,
IMSpector, Snort, ClamAV, entre otros.